“细思极恐!”湖南湘潭，一名女子吃完早餐，发现付不起7元餐费，一查银行卡，惊呆了：卡里的26万不翼而飞！

她的所有资产都在那张建设银行卡上。再查账户明细，钱是在6天里被一笔笔盗刷走：5笔999元、2笔1999元、1笔5600元、1笔111046元，最大1笔131315元，总共盗走256954元。

更让人后背发凉的是那个时间点。10 月 17 日凌晨 3 点 03 分，她卡里的银行短信提醒，被人关掉了。从那一刻起，钱一笔笔往外流，她一条短信都没收到。

银行把操作顺序还原了一遍。先关掉短信通知，再登录手机银行，把基金赎回、定期存款转成活期。接着开通数字人民币钱包，做了一笔结售汇，换成港币，汇进香港的账户。

一整套动作，系统后台看到的全是 “本人操作”。手机是她的，密码是对的，验证码通过了，人脸识别也过了。这才是最难受的地方。

她自己说过，不接陌生电话，不给验证码和授权码，不明链接不点，银行卡密码连家里人都不知道。能想到的防线，她都守住了。

唯一的破绽，是那部手机。事发前后某天晚上，手机突然不受控制，黑屏乱闪，按什么都没反应，连关机都关不掉，折腾十几分钟才恢复。

她当时以为是旧手机出了毛病。现在回头看，那十几分钟，很可能就是有人在隔着一块屏幕，动她的手机。

银行判断疑似电诈，手法很熟，建议她报案。目前她已经报警。

讲到这儿，这事已经不是 “别贪小便宜” 能解释的了。这些年反诈宣传翻来覆去就那几句：别信陌生人，别点链接，别给验证码。

话没错，但它防的是 “骗你自己转钱”。这一次，钱不是她转的，是别人拿着她的手机转的。骗子不用说服她，只要拿到那块屏幕的操控权。

我先讲几句自己的看法。她不是没牌可打，法律这条线上有明确的条文。

最高法《关于审理银行卡民事纠纷案件若干问题的规定》第七条写得很清楚：发生伪卡盗刷或者网络盗刷，借记卡持卡人可以要求发卡行支付被盗刷的存款本息，并赔偿损失。

更关键的是第四条。持卡人只要拿出账户交易明细、交易通知、报警记录、挂失记录，主张这不是本人交易，举证责任就翻到银行那边，银行得自己证明这笔钱是她本人或者授权的人转的。

所以这案子里最值钱的东西不是那 26 万，是 10 月 17 日凌晨 3 点 03 分那次 “取消短信提醒” 的操作日志。几点登录、什么设备、IP 在哪，一看就明白。

我为什么盯着这一条？取消短信提醒属于电子渠道的重要业务变更，正常流程得先核验是不是本人。凌晨三点、不是柜台、专门把提醒关掉，这三样凑在一起，风控本该响一下。

《反电信网络诈骗法》第十八条也给了银行抓手，要建异常账户和可疑交易监测机制，识别出来可以核实交易、重新核验身份、延迟支付结算，甚至限制或者中止业务。

六天里一笔接一笔往外走，中间到底有没有触发过核实，这个答案只有银行后台知道。

但话不能说满。银行手里也有一整套证据：密码正确、验证码通过、人脸识别成功，转账设备的指纹跟她平时用的一致。在系统眼里，这就是本人。

司法解释第七条还留了一句：持卡人对密码、验证码没尽到保管义务，有过错要担相应责任；发现不对劲没及时挂失，扩大的损失自己承担。真打起来，赔偿大概率要打折。

我更在意另一个细节：为什么是港币，为什么是香港。26 万人民币折成美元不到 4 万，正好压在个人每年 5 万美元的便利化购汇额度里。

按外汇局的规定，这个额度内凭本人有效身份证件就能在银行办，不用抱一堆材料去审。骗子挑这条路，不是随手，是算过的。

境内报案，公安能紧急止付、快速冻结，窗口是按小时算的。钱一旦换成外币汇出境，链条立刻拉长，追回来的可能性往下掉一大截。

所以这案子给我的感觉，不是 “她又上了一次当”，而是防线整个挪了位置。以前我们把钱看住，等于把自己看住。

现在手机是钱包、是身份证、是 U 盾，也是那张脸。谁控制那块屏，谁就等于控制了她的全部资产。密码没丢，验证码没给，脸还是她自己的脸，可这些验证全在别人手里那块屏幕上完成。

要是哪天你的手机也突然黑屏、乱闪、按不动、关不了机，别急着怪手机老了。先断网，能关机就关机，关不掉就把卡拔了，换台设备登录银行，第一时间打客服挂失。

钱能不能追回来，是一件事。这笔钱该谁赔，是另一件事。她到现在都没弄明白的是：那十几分钟里，到底是谁在动她的手机。